QakBot Анализ вредоносного ПО

Свойства файла

SHA256: 085f0f3f25b1328d153a7c56125e1d8a4d43bc882fe3f250d742ea5247850c02

MD5: 09a815f48d8a5319d88f2b8b2e4b02ab

Тип файла: dll

Размер: 1,055,704 byte

Первое обнаружение: 2022-11-22

Сигнатура AV: Quakbot

Imphash: 1726357b6fc2d768227af59ffbcbdfa8

Кто сообщил: pr0xylife

Метки: 1669024152, BB07, dll, FISH ACCOUNTING TRANSLATING LIMITED, Qakbot, Quakbot, signed

Статический анализ: на основе метаданных (образец не загружался)

QakBot — Профиль вредоносного ПО

QakBot Quakbot banker. Notesvb.msi delivery. Named pipe IPC. Modular architecture.

Тип вредоносного ПО
Other
Язык программирования
C++
C2 Протокол
HTTPS
Целевые системы
Windows
Другие названия (AKA)
QBot

Технические детали

QakBot (Qbot/QuakBot) is a banking trojan and loader active since 2007. Features: credential theft, email hijacking for thread hijacking attacks, lateral movement via SMB/psexec, web injection for banking fraud. Delivered via malspam using hijacked email threads (reply-chain attacks). Modules: email collector, credential grabber, network scanner, VNC plugin. Used to deliver Egregor, ProLock, REvil, Black Basta ransomware. FBI "Operation Duck Hunt" disrupted infrastructure August 2023, removing QakBot from 700,000+ infected machines. Attempted comeback Q4 2023 with new delivery methods.

Атрибуция / Актор угрозы

Gold Lagoon, TA570 (Shatak)

Возможности и поведение

Zararlı Yazılım Aktivitesi
Kalıcılık Mekanizması
C2 İletişimi
Anti-Analiz

Список IOC (1 индикаторов)

IOC — QakBot
# FILEPATH 085f0f3f25b1328d153a7c56125e1d8a4d43bc882fe3f250d742ea5247850c02
ТипЗначениеПримечание
filepath 085f0f3f25b1328d153a7c56125e1d8a4d43bc882fe3f250d742ea5247850c02 PDB
QakBot — Полный профиль →

C2 Серверы (8 зарегистрированных серверов для этого семейства)

Адрес Тип Порт Протокол Статус Страна
95.217.35.154 ip 443 HTTPS inactive FI
upd5.pro domain 443 HTTPS inactive —
upd5.pro domain 443 HTTPS inactive —
metasta.me domain 443 HTTPS inactive —
upd5.pro domain 443 HTTPS inactive —
amacey.com domain 443 HTTPS inactive —
181.174.165.208 ip 443 HTTPS sinkholed AR
212.117.180.232 ip 443 HTTPS sinkholed CH

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги
1669024152BB07dllFISH ACCOUNTING TRANSLATING LIMITEDQakbot